Standard systémové konfigurace pracovní stanice

Transkript

1 Standard systémové konfigurace pracovní stanice Verze 2.00 Zm ny: Datum vydání Verze Zm na proti p edchozí verzi Zm nil (jméno) První draft v rámci projektového týmu Milan Hruška Dopln ní informace o omezeném zápisu uživatele do registry klí Milan Hruška Dopln ní verze a nastavení IE Libor Šmíd Zm na verze.net Framework, dopln ní konfigurace HW Libor Šmíd Upravena kapitola 4 kontakt pro testování na lokalit Libor Šmíd Dopln no JRE Libor Šmíd Aktualizována tabulka v kapitole 2 Ji í Rybá ek Aktualizována kapitola 2 a 3 Milan Zapletal Aktualizována kapitola 2 Ji í Rybá ek Aktualizována tabulka v kapitole 2 Ji í Rybá ek Aktualizována tabulka v kapitole 2 (602 XML Filler 2.62) Ji í Rybá ek Aktualizována tabulka v kapitole 2 ( TrueCrypt ) Pavel Šmejkal Aktualizována tabulka v kapitole 2 ( TrueCrypt ) Ji í Rybá ek Aktualizována tabulka v kapitole 2 Ji í Rybá ek Zm na verze a nastavení IE v kapitole 3, p idána íloha: GPO šablona pro IE8 Ji í Rybá ek Aktualizována tabulka v kapitole 2 Ji í Rybá ek Rozší ení standardu PC o opera ní systém Windows 7 v rámci projektu NDOS Ji í Rybá ek

2 Obsah 1. Úvod 3 2. Základní požadavky kladené na provoz aplikací v prost edí Windows XP 3 3. Základní požadavky kladené na provoz aplikací v prost edí Windows Nastavení aplikace Internet Explorer 6 5. Zp sob testování provozovaných aplikací v prost edí Windows XP a Windows Odpov dnost za funk nost aplikací v prost edí Windows XP a Windows Záv r 7 Stránka 2 z 9

3 1. ÚVOD Cílem dokumentu je specifikovat základní požadavky na provoz aplikací SSZ na desktopu v konfiguraci Windows XP a Windows 7 Enterprise v prost edí Windows 2003 Active Directory. 2. ZÁKLADNÍ POŽADAVKY KLADENÉ NA PROVOZ APLIKACÍ V PROST EDÍ WINDOWS XP Základní požadavky lze shrnout do n kolika následujících bod : Desktopy jsou konfigurovány tak, že mají celý disk naformátován jako jedinou partition, tj. pouze disk C Na desktopu bude instalován opera ní systém Microsoft Windows XP eská verze s SP3 (vypnutý firewall) Na každém desktopu bude standardn instalován následující systémový SW: Po. íslo Název aplikace 1 Avast! Verze Client SCCM 3 Microsoft Office 2003 CZ SP3 4 Microsoft Windows Media Player 11 CZ 5 Microsoft.NET Framework 1.1, 2.0 SP2, 3.0 SP2 3.5 SP1, Hotfix.NET Framework 1.1(KB928366) 6 WinRar 4.1 CZ 7 Acrobat Reader 9.3 CZ 8 ASPI klient verze 13+ CZ 9 Adobe Shockwave Player 10 WTA Print 11 FileFormatConverters (podpora dokument Office 2007 pod Office 2003) 12 Sun ODF Plugin for Microsoft Office 1.1 (podpora dokument Open Office pod Office 2003) 13 Crystal Reports for.net Framework 2.0 (x86) 14 Adobe Flash Player 10.3 ActiveX XML Filler Java Runtime Environment (JRE 6.23) 17 Cryptoplus Pro ID ( SW pro práci s ipovými kartami + program pro obnovu certifikát ) Stránka 3 z 9

4 Po. íslo 18 Název aplikace TrueCrypt 6.1a omezeno pouze na stanice ur ené pro provoz: aplikace PSL od firmy Navidata aplikace KOC aplikace KLM Klient elektronické pošty MS Outlook 2003 má kopii schránky (*.OST), pop ípad offline složky (*.PST) uloženy v adresá i %USERPROFILE%\DATA Pro ukládání uživatelských dat jsou k dispozici dv úložišt Dokumenty sí ové ( \\sizz6\home$\%username% ) a Dokumenty lokální ( %USERPROFILE%\data ) Umíst ní aplikace bude pouze v rámci složky C:\Program Files (dané prom nnou %PROGRAMFILES%) V programovém kódu aplikace nesmí být uvedena konkrétní struktura jmen objekt (po íta, doména, organiza ní jednotka apod.) a jejich umíst ní v Active Directory, ani IP adresa n kterého po íta e i lokality Je garantováno, že instalace aplikace bude provád na v bezpe nostním kontextu ú tu s právy lokálního Administrátora na stanici Je garantováno, že instalace aplikace je možná bezobslužn v tichém módu pomocí systému pro distribuci software Microsoft SCCM. Provozování aplikace bude v bezpe nostním kontextu b žného uživatele - privilegia lokální skupiny Users (jen právo tení ve složce %PROGRAMFILES%). Výchozí p ístupová práva k souborovému systému i k registry jsou v rámci opera ního systému Windows XP Professional navržena tak, že lenové skupiny Users nemají možnost modifikovat systémové adresá e, systémové soubory. ístup k registry klí m je zna omezen (jen zápis do ásti HKEY_CURRENT_USER). Ukládání uživatelských konfigurací bude povoleno jen v konkrétním profilu uživatele v rámci struktury dané prom nnou %USERPROFILE%. Nap íklad do asné soubory jsou sm rovány do složky dané prom nnou %TEMP%, %TMP%, která ukazuje do složky v lokálním uživatelském profilu. Totéž platí pro složku pro ukládání aplika ních dat, která je specifikována prom nnou %APPDATA%. Kompletní technické požadavky pro chování aplikací v prost edí Windows XP jsou uvedeny v íru ce Designed for Windows XP spec v2.3.doc voln dostupné na stránkách 3. ZÁKLADNÍ POŽADAVKY KLADENÉ NA PROVOZ APLIKACÍ V PROST EDÍ WINDOWS 7 Základní požadavky lze shrnout do n kolika následujících bod : Desktopy jsou konfigurovány tak, že mají celý disk naformátován jako jedinou partition, tj. pouze disk C Na desktopu bude instalován opera ní systém Microsoft Windows 7 Enterprise SP1 eská verze (vypnutý firewall) Na každém desktopu bude standardn instalován následující systémový SW: Stránka 4 z 9

5 Po. íslo Název aplikace 1 Avast! Verze Client SCCM 3 Microsoft Office 2010 SP1 CZ 4 Microsoft Windows Media Player 12 CZ 5 Microsoft.NET Framework 1.1, Hotfix.NET Framework 1.1(KB928366),.NET Framework 4 6 WinRar 4.1 CZ 7 Acrobat Reader 10.1 CZ 8 ASPI klient verze 13+ CZ 9 WTA Print 10 Sun ODF Plugin for Microsoft Office 1.1 (podpora dokument Open Office pod Office 2003) 11 Crystal Reports for.net Framework 2.0 (x86) 12 Adobe Flash Player 10.3 ActiveX XML Filler Java Runtime Environment (JRE 6.23) 15 Cryptoplus Pro ID ( SW pro práci s ipovými kartami + program pro obnovu certifikát ) TrueCrypt 6.1a omezeno pouze na stanice ur ené pro provoz: aplikace PSL od firmy Navidata 16 aplikace KOC aplikace KLM 17 PDF-XChange 5 Pro Klient elektronické pošty MS Outlook 2010 má kopii schránky (*.OST), pop ípad offline složky (*.PST) uloženy v adresá i %USERPROFILE%\DATA Pro ukládání uživatelských dat jsou k dispozici dv úložišt Dokumenty sí ové ( \\sizz6\home$\%username% ) a Dokumenty lokální ( %USERPROFILE%\data ) Umíst ní aplikace bude pouze v rámci složky C:\Program Files (dané prom nnou %PROGRAMFILES%) V programovém kódu aplikace nesmí být uvedena konkrétní struktura jmen objekt (po íta, doména, organiza ní jednotka apod.) a jejich umíst ní v Active Directory, ani IP adresa n kterého po íta e i lokality Je garantováno, že instalace aplikace bude provád na v bezpe nostním kontextu ú tu s právy lokálního Administrátora na stanici Je garantováno, že instalace aplikace je možná bezobslužn v tichém módu pomocí systému pro distribuci software Microsoft SCCM. Provozování aplikace bude v bezpe nostním kontextu b žného uživatele - privilegia lokální skupiny Users (jen právo tení ve složce %PROGRAMFILES%). Výchozí p ístupová práva k souborovému systému i k registry jsou v rámci opera ního systému Windows 7 Enterprise navržena tak, že Stránka 5 z 9

6 lenové skupiny Users nemají možnost modifikovat systémové adresá e, systémové soubory. ístup k registry klí m je zna omezen (jen zápis do ásti HKEY_CURRENT_USER). Ukládání uživatelských konfigurací bude povoleno jen v konkrétním profilu uživatele v rámci struktury dané prom nnou %USERPROFILE%. Nap íklad do asné soubory jsou sm rovány do složky dané prom nnou %TEMP%, %TMP%, která ukazuje do složky v lokálním uživatelském profilu. Totéž platí pro složku pro ukládání aplika ních dat, která je specifikována prom nnou %APPDATA%. 4. NASTAVENÍ APLIKACE INTERNET EXPLORER Na stanicích bude nainstalován Internet Explorer verze 8.0 (MSIE) v etn aktuálních oprav vydaných spole ností Microsoft. Konfigurace MSIE odpovídá standardní instalaci, zvlášt však upozor ujeme, že musí být nastaven na automatické zjiš ování existence nov jších verzí uložených stránek. Pokud jsou používány ActiveX komponenty, je vyžadováno jejich zabezpe ení elektronickým podpisem. Nastavení IE jsou ízeny centrální skupinovou politikou v Active directory ístup na internet - Web proxy klient IE je sm rován na proxy soustavu: wpx.cssz.cz port: 8080 s výjimkou pro doménu *.cssz.cz Takto je zajišt na p ímá konektivita (mimo proxy soustavu) na aplikace a webové servery, pokud se v URL použije sufix cssz.cz. P íklady: intranet.cssz.cz, ws.cssz.cz Blokování automaticky otevíraných oken - Zm na v zabezpe ení v IE pro Intranet - Vlastní úrove. Zakázáno Blokování automaticky otevíraných oken. Aplikace tak mohou vytvo it nové okno a v n m ovládací prvky potla it. Nastavení zabezpe ení: - Zóna servery s omezeným p ístupem vysoké - Zóna internet st edn vysoké povoleno automatické p ihlášení pouze do zóny intranet - Zóna d ryhodné servery st ední povoleno automatické p ihlášení pouze do zóny intranet - Zóna intranet st edn nízké povoleno automatické p ihlášení pouze do zóny intranet Export GPO šablony pro IE 8 viz P íloha 1 na konci dokumentu 5. ZP SOB TESTOVÁNÍ PROVOZOVANÝCH APLIKACÍ V PROST EDÍ WINDOWS XP A WINDOWS 7 V této ásti je nazna en zp sob testování aplikací: Vytvo it prost edí na desktopu podle základních požadavk uvedených v kapitole 1 Otestovat funk nost aplikace v etn všech výstup a periferií (soubor, tiskárna, skener) Stránka 6 z 9

7 Pro místn provozované aplikace m že testování probíhat p ímo v provozované lokalit. Pokud to nebude technicky možné je nutné z lokality p edat instala ní média k otestování v Úst edí SSZ odbor systémové, komunika ní a technické podpory. V sou asné dob jsou již vytvo eny obrazy cílového desktopu (instalace pomocí WDS), které je možné použít a desktopy, na kterých bude probíhat testování aplikací velice rychle reinstalovat. Výhodou je skute nost, že na desktopu bude vždy dodržena cílová konfigurace daná projektem NDM a NDOS. 6. ODPOV DNOST ZA FUNK NOST APLIKACÍ V PROST EDÍ WINDOWS XP A WINDOWS 7 Odpov dnost za bezproblémovou funk nost aplikace v prost edí Windows XP a Windows7 má vždy íslušný Garant aplikace. 7. ZÁV R Dokument je d ležitým materiálem pro Garanty aplikací, kte í podle n j budou zajiš ovat testování aplikací SSZ v konfiguraci desktopu na platform Windows XP a Windows 7. Stránka 7 z 9

8 íloha 1: GPO šablona pro IE 8 Internet Settings Internet Explorer 8: Internet Explorer 8 (Order: 1) Security Securitylevels Internet Local Intranet Trusted Restricted Medium-high Medium-low Medium High Connections Dial-up settings Connectionbehavior Neverdial a connection Programs Default web browser Tellmeif Internet Explorer is not the default web browser Advanced Accessibility Alwaysexpand ALT text forimages Movesystemcaretwithfocus/selectionchanges Browsing Automaticallycheckfor Internet Explorer updates Closeunusedfolders in History and Favorites (requires restart) DisableScript debugging (Internet Explorer) DisableScript debugging (Other) Display a notificationabouteveryscripterror Enable FTP folderview (outsideof Internet Explorer) Enablepagetransitions EnablePersonalizedFavorites Menu Enablethird-party browser extensions (requires restart) Enablevisualstyles on buttons and controls in web pages Enablewebsites to use thesearch pane Forceoffscreencompositingevenunder Terminal Server (requires restart) Notifywhendownloadscomplete Reusewindowsforlaunchingshortcuts Show Friendly HTTP Errormessages Underlinelinks Use inlineautocomplete Use most recentorderwhenswitchingtabswithctrl+tab Use Passive FTP (for firewall and DSL model compatibility) Use smoothscrolling Always Stránka 8 z 9

9 HTTP 1.1 settings Use HTTP 1.1 Use HTTP 1.1 throughproxyconnections International Always show encodedaddresses Send IDN server names Send IDN server namesfor Intranet addresses Send UTF-8 URLs Use UTF-8 formailtolinks Multimedia Always use ClearTypefor HTML EnableAutomatic Image Resizing Play animations in web pages Play sounds in web pages Show image downloadplaceholders Show pictures Smart image dithering Printing Print background colors and images SearchfromtheAddress bar Whensearching Just display theresults in themainwindow Security AllowactivecontentfromCDs to run on My Computer Allowactivecontent to run in files on My Computer Allow software to run orinstallevenifthesignatureis invalid Checkforpublisher'scertificaterevocation Checkfor server certificaterevocation (requires restart) Checkforsignatures on downloadedprograms Do not saveencryptedpages to disk EmptyTemporary Internet Filesfolderwhen browser isclosed EnableIntegrated Windows Authentication (requires restart) Enablenative XMLHTTP support PhishingFilter Use SSL 2.0 Use SSL 3.0 Use TLS 1.0 Warnaboutcertificateaddressmismatch Warnifchangingbetweensecure and not secure mode Warnif POST submittalisredirected to a zonethatdoes not permitposts Turnoffauto maticwebsit echecking Stránka 9 z 9